一般にどの程度の投資が水準になっているのでしょうか。2007年12月4日にITproに掲載された米ガートナー社Victor S. Wheatman氏へのインタビュー記事によると、実効性のあるセキュリティ対策が実現するまでの3年間は、全IT予算に占めるセキュリティ予算の割合が7〜8％に達するとしています。その後、セキュリティ管理を通常の運用予算でまかなえる体制が整ってくると、最終的にセキュリティ予算の割合は、全IT予算の3〜4％に落ち着くようになると述べております。保険等の災害リスクに関わる予算から考えると、当たらずとも遠からずというところでしょうか。
（*1）SOX法が求める内部統制や連邦政府を対象としたFISMA （連邦情報セキュリティマネジメント法：the Federal Information Security Management Act）、医療・保険業界を対象としたHIPAA法（医療保険の相互運用性と説明責任に関する法律：Health Insurance Portability and Accountability Act）、金融業界を対象としたグラム・リーチ・ブライリー法、クレジットカード業界のPCIDSS（データ・セキュリティ基準：Payment Card Industry Data Security Standard）といった個人情報漏洩に係る法規制や業界基準に対し、直接関係しない業界も含めて、業界横断的に注目される傾向を示しています。
（2）情報セキュリティ投資効果の評価
米国では、多数の企業（80％）でROI（Return On Investment）（*2）によるセキュリティに関わる投資効果を評価していますが＜CSI調査＞、日本では一部の企業（11％程度）でしか実施していないようです。＜参考資料1＞
